Zum Inhalt springen
Demo buchen
NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 1 BSIG

Risikoanalyse & Konzepte für Informationssicherheit

NIS2 verlangt ein dokumentiertes Risikomanagement: Sie müssen die Risiken für Ihre Netz- und Informationssysteme systematisch ermitteln, bewerten und mit angemessenen Maßnahmen behandeln. Dazu gehören Konzepte und Richtlinien für die Informationssicherheit.

NIS2§ 30 Abs. 2 Nr. 1 BSIGA.5.1A.5.7A.5.9

Warum diese Pflicht wichtig ist

Die Risikoanalyse ist das Fundament aller weiteren NIS2-Pflichten. Ohne sie lässt sich nicht begründen, welche Maßnahmen angemessen sind, und die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG).

So setzen Sie die Pflicht um

  1. 01Geltungsbereich und schützenswerte Werte (Assets) festlegen
  2. 02Bedrohungen und Schwachstellen je Asset ermitteln
  3. 03Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe bewerten
  4. 04Risikobehandlung festlegen (vermeiden, vermindern, übertragen, akzeptieren)
  5. 05Sicherheitsrichtlinien ableiten und durch die Leitung freigeben lassen
Diese Nachweise erwartet die Aufsicht
  • Dokumentiertes Risikoregister mit Bewertung und Behandlung
  • Von der Leitung freigegebene Informationssicherheitsrichtlinie
  • Nachweis regelmäßiger Aktualisierung der Risikoanalyse

Häufige Fehler

Einmalige AnalyseDie Risikoanalyse wird einmal erstellt und nie aktualisiert. NIS2 verlangt einen fortlaufenden Prozess.
Keine BehandlungRisiken werden erfasst, aber es wird nicht entschieden, was dagegen getan wird.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.5.1InformationssicherheitsrichtlinienA.5.7Bedrohungsinformationen (Threat Intelligence)A.5.9Inventar der Informationen und anderer Werte

Häufig gestellte Fragen

Welche Methode muss ich für die Risikoanalyse nutzen?
NIS2 schreibt keine konkrete Methode vor. Ein an ISO 27005 oder dem BSI-Standard 200-3 orientiertes, nachvollziehbares Vorgehen ist anerkannt.
Wie oft muss die Risikoanalyse wiederholt werden?
Regelmäßig und anlassbezogen, etwa bei wesentlichen Änderungen der IT, neuen Bedrohungen oder nach Vorfällen. Üblich ist mindestens jährlich.
Haftet die Geschäftsführung wirklich persönlich?
Ja, gegenüber der Einrichtung. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung gegenüber für den entstandenen Schaden (§ 38 Abs. 2 BSIG). Bußgelder nach § 65 BSIG treffen dagegen die Einrichtung.
In CompliantDesk

Risikoanalyse mit CompliantDesk umsetzen

CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: NIS2-Check · Risiko-Register · Richtlinien. Starten Sie mit dem kostenlosen NIS2-Check.

NIS2-Check gratisDemo buchen

Verwandte NIS2-Pflichten

§ 30 Abs. 2 Nr. 6 BSIGWirksamkeitsbewertung§ 30 Abs. 2 Nr. 2 BSIGVorfallbewältigung & Meldepflicht

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten